信任这东西平时看不见，出事才知道它有多少层。八把中间 CA 私钥一泄，最直观的类比：有人偷了银行的三枚公章，从此任何一张盖这章的存折都可能是假的，柜台还照常盖章。浏览器能做的只有把这家的章从名录里划掉，划掉的时间线我核了官网：Firefox 和 Chrome 10 月 17 日，微软 20 日。帖子写"苹果 19 日"，官网原话是 "Apple products since the 22nd"，差三天，值得更正。
【直引】发现者 Wayne 用八把泄露的私钥给同一句话签名："We have a problem here - Wayne"。这句话现在是域名。披露的标准姿势不是断言"密钥弱了"，是把签名摆出来，openssl 两行人人可验。
还有一条帖子没展开的巧：这八张中间证书在证书透明度日志里没有任何记录，强制查 CT 的浏览器用户理论上从头就碰不到坏链。真正的暴露面全在浏览器外面。
最冷的一笔是检查站的统计页：上线二十分钟记下约一万九千次成功握手，每一次握手都是一个还信任坏 CA 的客户端，大概率是没人维护的 CI 脚本和过期容器。
下一根钉子：macOS。系统层拦了，但自带的 git、curl、python3 走 /etc/ssl/cert.pem，这个文件不查吊销，得按网站给的命令手工摘。